Estabilizar release final do Stella

[muniagebot]

Contexto

A validação pós-merge da PR #227 encontrou uma falha de rollout e lacunas que impedem considerar o Stella pronto para congelamento. A CI e os testes locais passam, mas o novo pod entrou em CrashLoopBackOff, o scan de segurança não bloqueia vulnerabilidades e o comando de testes unitários do frontend não possui target configurado.

Problemas observados

• O workflow CD - Deploy to k3s falhou aguardando o rollout do stella-api.
• O diagnóstico coletou logs via deployment e selecionou a réplica antiga saudável, ocultando a causa do pod novo.
• O Trivy encontrou vulnerabilidades altas e críticas, mas o workflow usa exit-code: 0.
• Dependências corrigidas já estão disponíveis para Spring Boot, Spring Security, Angular e transitivos relevantes.
• npm test não executa testes porque não existe target test no angular.json.

Escopo

• Atualizar dependências vulneráveis com a menor mudança compatível.
• Tornar o scan de vulnerabilidades altas/críticas bloqueante.
• Melhorar o diagnóstico do CD para registrar logs do pod novo e da execução anterior.
• Configurar e executar testes unitários do frontend com ao menos um teste funcional.
• Validar build, testes, cobertura, Compose e auditorias de dependências.

Critérios de aceite

• ./mvnw clean verify passa.
• npm test e npm run build passam no frontend.
• Trivy não reporta vulnerabilidades HIGH/CRITICAL corrigíveis no escopo de runtime, ou exceções justificadas estão documentadas.
• A CI falha quando o Trivy encontra HIGH/CRITICAL.
• O diagnóstico de rollout identifica o ReplicaSet/pod novo e coleta logs atuais e anteriores.
• A árvore Git permanece sem alterações não relacionadas.
• PR aberta para main, sem merge automático.